Lexmark Seite 2

In zahlreichen Lexmark-Geräten besteht in den Firmware-Ständen vor den jeweils angegebenen Korrekturversionen eine Cross-Site-Scripting-Schwachstelle (XSS). CVSS-Basiswert: 5.4 (Mittel). Betroffen ist Lexmark. Empfohlene Massnahme: Firmware auf den vom Hersteller angegebenen korrigierten Stand aktualisieren.

Lexmark-Geräte der Reihen X, W, T, E und C (Stände vor 2012-02-09) erlauben Angreifern, sensible Informationen zu erlangen, indem sie Passwörter in exportierten Einstellungen auslesen. CVSS-Basiswert: 5.3 (Mittel).

Mehrere Lexmark-Produkte weisen reflektiertes Cross-Site-Scripting im eingebetteten Webserver älterer Lexmark-Geräte auf. CVSS-Basiswert: 5.4 (Mittel).

Verschiedene Lexmark-Produkte weisen ein gespeichertes Cross-Site-Scripting im eingebetteten Webserver älterer Lexmark-Geräte auf. CVSS-Basiswert: 5.4 (Mittel).

Der Lexmark-Drucker MS812 und mehrere ältere Lexmark-Geräte weisen im eingebetteten Webserver eine Stored-XSS-Schwachstelle auf. Die Schwachstelle kann ausgenutzt werden, um über den Webbrowser des Benutzers Sitzungsdaten und weitere Informationen offenzulegen. CVSS-Basiswert: 5.4 (Mittel).

Mehrere Lexmark-Produkte weisen eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) auf. CVSS-Basiswert: 6.5 (Mittel).

Auf mehreren älteren Lexmark-Geräten ist der veraltete Finger-Dienst (TCP-Port 79) standardmässig aktiviert. CVSS-Basiswert: 5.3 (Mittel). Weitere technische Details oder eine konkrete Massnahme nennt die Quelle nicht.

Verschiedene Lexmark-Produkte weisen eine fehlerhafte Zugriffskontrolle auf (Problem 1 von 2). CVSS-Basiswert: 5.3 (Mittel).

Mehrere Lexmark-Produkte weisen eine fehlerhafte Zugriffskontrolle auf. Laut Quelle handelt es sich um eines von zwei gemeldeten Problemen dieser Art. CVSS-Basiswert: 5.3 (Mittel).

Auf bestimmten Lexmark-Geräten, die mit einem LDAP- oder SMTP-Server kommunizieren, kann ein böswilliger Administrator LDAP- oder SMTP-Zugangsdaten ausspähen, indem er den Hostnamen des Servers auf einen von ihm kontrollierten ändert und die dorthin gesendeten Anmeldedaten abfängt. Ursache ist, dass gespeicherte Zugangsdaten bei einer solchen Hostnamen-Änderung nicht automatisch gelöscht werden. CVSS-Basiswert: 4.9 (Mittel).

Bestimmte Lexmark-Geräte der Reihen CX, MX, X, XC, XM, XS und 6500e vor dem Stand 2019-02-11 erlauben entfernten Angreifern das Löschen gespeicherter Kurzbefehle. Betroffen sind Produkte von Lexmark. CVSS-Basiswert: 5.3 (Mittel).

Im XLS-Parser der Konvertierungsfunktion der Lexmark Perspective Document Filters besteht ein ausnutzbarer beliebiger Lesezugriff. Ein präpariertes XLS-Dokument kann zu einem beliebigen Lesezugriff und damit zur Offenlegung von Speicherinhalten führen; bestätigt wurde dies für die Versionen 11.3.0.2228 und 11.3.0.2400. CVSS-Basiswert: 4.3 (Mittel).

Lexmark-Drucker mit der Firmware ATL vor ATL.021.063, CB vor CB.021.063, PP vor PP.021.063 und YK vor YK.021.063 behandeln die Aktionen zum Löschen des Druckerspeichers und der Festplatte fehlerhaft. Dadurch können physisch nahe Angreifer über direkte Leseoperationen auf dem nichtflüchtigen Speicher an vertrauliche Informationen gelangen. Betroffen sind Produkte von Lexmark. CVSS-Basiswert: 4.6 (Mittel). Empfohlene Massnahme: auf die Firmware-Stände ATL.021.063, CB.021.063, PP.021.063 bzw. YK.021.063 oder neuer aktualisieren.

Die Flood-Protection-Funktion in mehreren Komponenten bestimmter Lexmark-Laser- und -Tintenstrahldrucker sowie MarkNet-Geräte erlaubt entfernten Angreifern, einen Denial of Service (TCP-Ausfall) auszulösen, indem sie viele passive FTP-Verbindungen aufbauen und anschliessend abbrechen. CVSS-Basiswert: 5 (Mittel). Betroffen ist Lexmark.

Der HTTP-Server in Lexmark T522 und möglicherweise weiteren Modellen erlaubt entfernten Angreifern, einen Denial of Service (Absturz, Neustart oder Hängen des Servers) über einen HTTP-Header mit einem langen Host-Feld auszulösen, was möglicherweise einen Pufferüberlauf hervorruft. CVSS-Basiswert: 5 (Mittel).

Mehrere Cross-Site-Scripting-Schwachstellen (XSS) auf verschiedenen Lexmark-Druckern (u. a. W840, T64x, C935dn, C920, C53x, C52x sowie E250/E350/E450 unterhalb bestimmter Firmware-Stände) erlauben authentifizierten Benutzern aus der Ferne, über SNMP oder den Embedded Web Server (EWS) beliebiges Web-Skript oder HTML in die Felder Contact oder Location einzuschleusen. CVSS-Basiswert: 3.5 (Niedrig). Empfohlene Massnahme: betroffene Geräte auf einen gefixten Firmware-Stand aktualisieren.